Global Routing
决定整体流量处理方式的入口，常用三种姿态为配置 Config、代理 Proxy、直连 Direct，另有按场景设置工作的 Scene。模式会影响当前配置中的规则是否参与决策，因此排查分流前应先确认这里的选项。它不负责新增服务器，也不代表连接开关已经打开。
Config / Proxy / Direct / Scene
官方手册 · 按概念查阅
Shadowrocket 术语表
区分界面入口、连接协议与规则动作。每个词条都有独立锚点，可用于对照设置或记录排查位置；需要操作步骤时，再进入教程或服务器管理章节。
01 · 设置层级
界面与开关
先识别全局模式，再判断单条规则；开关、解析与重写分别处理不同问题。
Config
出现在 Global Routing 中时，表示按当前配置规则处理流量，而不是让全部请求使用同一路径。出现在配置管理语境中时，则用于指代配置入口或相关内容。遇到“切换 Config”的说明，应结合所在页面判断是在切换模式，还是选择另一份配置文件。
模式名称 ≠ 配置文件本身
Proxy
在 Global Routing 中表示使用代理路径处理相应流量，实际连接仍取决于所选服务器及其参数。可用它临时缩小排查范围，判断问题是否与规则选择有关。切到 Proxy 并不能修复失效的服务器、错误密码或无法建立的传输连接。
先核对服务器，再判断路由
Direct
在 Global Routing 中表示使用直接连接，不把对应请求交给远端代理服务器。它可以帮助比较原始网络与代理路径的表现，但并不等于关闭应用或删除系统 VPN 配置。若要结束连接，应检查连接开关及 On Demand，而不是仅凭模式名称判断。
Direct 与规则动作 DIRECT 注意大小写
Scene
用于根据已设定的场景条件选择相应处理行为，例如在不同网络环境下采用不同安排。它关注的是场景层级，不等同于 DOMAIN 这类针对单个请求的匹配规则。使用前应先核对已有场景的条件与结果，避免把场景切换误认为服务器自动修复。
场景条件 → 对应行为
On Demand
利用系统按需机制，根据网络条件发起或维持连接，可结合 Wi-Fi 与蜂窝网络分别设置。它控制的是何时连接，不是每个域名应该直连还是代理。手动关闭后又重新连接时，应先检查此项及系统中的相关设置，而不是反复删除服务器记录。
连接时机 ≠ 请求分流
DNS
负责把域名解析为 IP 地址，是连接建立前经常涉及的环节。解析成功不代表服务器认证成功，解析异常也不能仅靠更换规则动作解决。排查时应记录查询的域名、使用的解析设置和返回结果，再结合连接日志判断问题发生在哪一层。
域名 → IP 地址
URL Rewrite
按匹配表达式对请求 URL 进行重写或其他指定处理，与决定连接走哪条路径的规则分流不同。修改时需要理解匹配范围和目标地址，过宽的表达式可能影响原本正常的请求。HTTPS 请求的可处理范围还受加密可见性与相关配置约束，并非添加一条表达式就一定生效。
先确认匹配，再确认处理条件
02 · 连接方式
协议
协议名决定字段含义。名称相近、端口相同，都不代表参数可以互换。
Shadowsocks
通过服务器地址、端口、加密方法与密码等参数建立连接的代理协议。加密方法必须与服务器端一致，仅地址与密码正确仍可能连接失败。导入以 ss:// 开头的分享文本后，也应核对字段，而不是把链接前缀当作可用性证明。
地址 / 端口 / 加密方法 / 密码
VMess
使用用户标识等参数进行身份验证的代理协议，常见记录还包含传输方式与 TLS 设置。导入后需要一并检查主机名、路径等与传输有关的字段。系统时间明显不准确也可能干扰认证，因此排查时不能只盯着服务器端口。
协议参数与传输参数分别核对
VLESS
使用用户标识的代理协议，与 VMess 是不同类型，不能只改类型名称就沿用全部参数。协议本身不承担传输加密，应核对服务器实际要求的安全传输方式。已有分享链接中的传输、主机名与其他附加字段也应完整保留。
用户标识 / 传输 / 安全设置
Trojan
通常配合 TLS 使用，并通过密码验证连接的代理协议。服务器地址、证书对应的主机名与密码承担不同作用，不能互相替代。遇到证书错误时应先确认主机名、设备时间与证书状态，不应把跳过验证作为常规修复方式。
认证成功与证书有效分别检查
Hysteria2
基于 QUIC 的代理协议，连接需要网络具备相应的 UDP 连通条件。协议代际与认证等参数必须和服务器对应，不能因名称相似就混用。网络限制 UDP、服务器配置错误或证书异常，都可能导致它无法建立连接，不能单凭网页访问失败确定原因。
QUIC / UDP
WireGuard
使用公私钥配对与对端参数建立隧道的协议，通常需要填写密钥、端点和隧道地址等信息。它的字段结构与“地址加密码”的记录不同，应按已有配置逐项对应。私钥属于敏感资料，整理配置、备份或提交问题记录时都应避免公开。
Private Key 应保密
HTTP / SOCKS5
这是两类代理协议，HTTP 代理与 SOCKS5 使用不同的握手方式，不能因为端口相同就互换类型。是否需要用户名、密码以及是否支持 UDP，应以已有服务器实际能力为准。代理协议名称本身也不保证传输已加密，需要单独确认安全传输条件。
协议类型 ≠ 端口编号
03 · 匹配与动作
规则关键字
在 Config 模式下，规则通常从上到下检查，先命中的规则决定处理动作。以下 example.com 仅为语法示例。
DOMAIN
按完整域名匹配，适合只处理某个明确主机名的情况。填写时使用域名本身，不带网址协议、路径或查询参数。匹配 example.com 不等于同时匹配所有子域名；需要覆盖后缀范围时，应检查 DOMAIN-SUFFIX。
DOMAIN,example.com,DIRECTDOMAIN-SUFFIX
按域名后缀匹配，可涵盖指定域名以及它的子域名，适合对同一域名范围统一处理。它不是任意位置的字符串搜索，也不按网页 URL 路径匹配。添加后要检查它与前面更具体规则的顺序，避免原本的例外规则被提前覆盖。
DOMAIN-SUFFIX,example.com,PROXYDOMAIN-KEYWORD
检查域名中是否包含指定字符串，匹配范围通常比完整域名和后缀规则更宽。短词可能同时命中多个并无关系的域名，因此应在日志里观察实际命中对象。若目标范围能够精确描述，优先使用更具体的匹配方式，便于后续维护。
DOMAIN-KEYWORD,example,DIRECTGEOIP
根据目标 IP 在地理数据库中的归类匹配，而不是根据网页语言、域名后缀或用户所在地判断。域名连接可能需要先获得解析结果，数据库内容与实际网络部署也可能有差异。使用这类规则时，应结合目标 IP 与命中记录核对，而不是仅凭网站名称推断。
GEOIP,CN,DIRECTIP-CIDR / IP-CIDR6
分别用于 IPv4 与 IPv6 网段匹配，斜杠后的数字表示网络前缀长度。它描述的是地址范围，不是端口，也不是域名后缀。只写 IPv4 规则不能自然覆盖对应服务的 IPv6 连接，因此双栈网络排查时应同时观察两类目标地址。
IP-CIDR,192.0.2.0/24,DIRECTFINAL
用于处理此前所有规则均未匹配的连接，是规则列表的兜底项，通常放在末尾。它后面的动作决定未分类流量去向，修改时会影响较大范围。若预期的精确规则没有命中，请先核对域名、规则顺序与当前模式，不要只调整 FINAL。
FINAL,PROXYPROXY / DIRECT / REJECT
这是规则命中后的处理策略，分别表示使用代理、直接连接与拒绝连接，不是三种匹配条件。大写关键字应与界面中的 Proxy、Direct 模式名称区分。日志显示 REJECT 时，连接失败可能正是规则要求的结果，应先确认是否命中了预期条目。
匹配条件 → 处理策略
规则看似未生效时，先查看规则与故障排查问答，再修改配置。
04 · 数据管理
订阅与配置
订阅用于维护远程记录，配置用于组织处理逻辑；二者并非同一种文件。
Subscribe
用于导入和更新用户已有的订阅，内容由订阅地址对应的服务器返回。更新成功只表示客户端取得并处理了响应，不保证其中每条服务器记录都能连接。订阅链接可能包含身份凭据，分享截图、提交日志或整理笔记时应遮去完整地址。
导入后核对数量、名称与连接结果
Add Server
手动新增服务器记录的入口，需要根据已有服务器信息选择协议，再填写对应字段。不同类型的密码、用户标识、密钥与传输设置不能混用。保存只是把参数写入本地列表；是否可用，还需要选中记录并进行连接测试。
先选协议，再填字段
服务器与分享链接
服务器记录保存用于连接的地址、认证和传输参数；分享链接则把一条记录编码为便于导入的文本。单条分享链接通常不会像订阅地址那样持续获取列表更新。二维码也只是承载文本的方式，扫描后仍应核对导入类型与参数，不应公开含凭据的二维码。
单条记录 ≠ 可更新的订阅列表
Connectivity Test 与延迟
用于检查测试目标是否可达，并在相应测试方式下返回耗时信息。耗时受测试目标、网络路径和测试方法影响，不等于带宽，也不代表所有网站的访问体验。比较记录时应尽量使用相同条件；超时则需要继续区分解析、握手与目标响应问题。
测试耗时 ≠ 下载速度
配置文件
用于组织规则、DNS 和其他设置，与只包含服务器记录的订阅有不同作用。下载或编辑一份配置后，还要确认当前使用的是哪一份，以及 Global Routing 是否处于 Config。修改前宜保留可恢复副本，并分次调整，避免多个变化叠加后难以定位原因。
编辑 → 选择使用 → 验证命中
导入、更新、整理与备份的完整步骤见服务器管理手册。
05 · 设备与授权
安装与系统权限
处理器架构、应用获取记录与网络授权分别管理，不应互相替代。
VPN 配置
系统用于授权应用接管相应网络流量的配置记录，不等于某个远端服务器的资料。首次连接出现添加提示时，应确认操作由自己刚打开的 Shadowrocket 发起，再按系统要求授权。删除该记录可能导致下次连接需要重新添加，但不会因此修复错误的服务器密码。
系统授权与服务器认证分开检查
Apple 芯片 / Intel / arm64
这些名称用于区分处理器架构，影响应选择哪一种安装包，而不是表示不同的代理模式。Mac 可在“关于本机”核对芯片或处理器信息，再选择 Apple 芯片版或 Intel 版；安卓安装包中的 arm64 也表示架构。各平台安装后的首次运行提示，应按下载页放行说明处理。
已购项目
App Store 中与购买账户关联的应用记录，换机或重装时可使用原购买账户查找并重新下载。iPhone / iPad 版 App Store $2.99 一次性付费，Mac / Windows / 安卓 / Linux 版免费，后者从本站获取。商店条目核对开发者 Shadow Launch Technology Limited 与应用 ID 932747118；系统要求以 App Store 页面标注为准。
系统放行权限
操作系统对应用首次运行或安装来源的确认，与 VPN 配置授权不是同一件事。核对本站来源后，Windows 可在 SmartScreen 的“更多信息”中查看“仍要运行”，macOS 可在“隐私与安全性”查看“仍要打开”，安卓可为执行安装的应用允许安装未知应用。若系统未提供放行选项，应保留提示并检查设备管理限制，不要关闭整体防护。